Упродовж останніх місяців у Польщі сталося кілька резонансних інцидентів у сфері охорони здоров’я. Витоки персональних даних, атаки на лікарні та порушення безпеки інформаційних систем засвідчили, наскільки серйозними можуть бути наслідки недостатнього цифрового захисту. Йдеться про конфіденційність медичної інформації, безперервність роботи закладів і, зрештою, безпеку пацієнтів.
Кількість кіберінцидентів у медичному секторі зростає в усьому світі, і Польща не є винятком. Про це під час дискусії на конференції Cyber24 Days заявив Єремій Олехнович, директор відділу експлуатації інформаційно-комунікаційних систем Центру електронної охорони здоров’я Польщі (Centrum e-Zdrowie).
«Останні інциденти показують, що, попри чинне законодавство та заходи, яких вживають для захисту від кібератак, зробленого досі недостатньо», — наголосив він.
За словами Єремія Олехновича, галузева команда реагування на кіберінциденти CSIRT CeZ реєструє такі випадки, класифікує їх і веде статистику. Водночас розслідування окремих інцидентів ще тривають, тому їхні обставини поки що не можна розголошувати. У Центрі електронної охорони здоров’я вже працюють над додатковими заходами захисту, зокрема для приватних компаній. Серед державних ініціатив — програма Міністерства цифровізації «Кіберп’ятірка» (Cyber Piątka), пакет із п'яти законодавчих пропозицій для посилення захисту персональних, зокрема медичних, даних.
Штучний інтелект у кабінеті лікаря, розумні томографи та мережеве діагностичне обладнання — це вже повсякденність. Однак парадокс діджиталізації полягає в тому, що чим складніший і технологічніший апарат, тим більше потенційних «дверей» він відкриває для хакерів.
Практичний бік цієї проблеми висвітлив Ярослав Войташь, відповідальний за IT та кібербезпеку в 4-му військовому клінічному шпиталі у Вроцлаві. За його словами, аудит медичного обладнання сьогодні — одна з найскладніших завдань.
«Перша проблема — недостатня обізнаність персоналу: через помилки працівників можуть виникати інциденти. Друга — безпека медичного обладнання. Значну частину такої техніки виробляють за кордоном, тому провести повноцінний аудит на рівні виробника практично неможливо. До того ж у Польщі фахівців із потрібними навичками всередині країни вкрай мало», — зазначив Ярослав Войташь.
Навіть добре захищена система може стати вразливою через одну необережну дію працівника. Фішинговий лист, підозріле вкладення чи посилання здатні відкрити зловмисникам шлях до корпоративної мережі або конфіденційних даних. На необхідності систематичного навчання персоналу наголошує Єремій Олехнович. За його словами, після проведення тренінгів працівники починають частіше повідомляти про підозрілі електронні листи та запитувати, чи безпечно відкривати вкладення.
«Такі тренінги суттєво підвищують обізнаність працівників», — зазначає він.
Водночас одноразового навчання недостатньо. Пильність з часом слабшає, тому правила кібергігієни потрібно регулярно нагадувати, а персонал інформувати про актуальні загрози. Для цього можна використовувати онлайн-курси, інформаційні кампанії та попередження про нові способи атак.
Єремій Олехнович закликає медичні заклади долучатися до таких навчань, наголошуючи, що кібербезпека потребує постійної роботи.
Аудіоверсія матеріалу — у прикріпленому файлі.
Вікторія Машталер